Banco digital: requisitos tecnológicos e de compliance

Última atualização: 23 de julho de 2026

Principais lições deste artigo

• Operar um banco digital no Brasil exige cinco pilares interdependentes: licença do BCB, capital mínimo, infraestrutura tecnológica certificada, integração ao SPB e conformidade contínua com PLD-FTP, LGPD e Open Finance.

• A Resolução Conjunta 14/2025 substitui requisitos de capital por atividade, com faseamento até janeiro de 2028, elevando o mínimo para IPs com Pix a R$ 17,4 milhões e expondo 679 instituições à adequação.

• A Resolução BCB 538/2025 impõe 14 controles técnicos obrigatórios até março de 2026, incluindo MFA sem SMS, TLS 1.3, HSM, SIEM e pentests anuais por terceiro independente.

• Empresas podem acelerar o go-to-market via Banking as a Service com parceiro licenciado, migrando para licença própria sem trocar a plataforma tecnológica quando obtiverem autorização do BCB.

• Para implementar uma solução completa de BaaS, Core Banking e Open Finance com conformidade regulatória, conheça a plataforma completa da Celcoin.

1. Quais os requisitos para abrir um banco digital?

Abrir um banco digital no Brasil exige autorização prévia do BCB. O Banco Central avalia a viabilidade econômico-financeira, a qualificação dos controladores e administradores, a adequação do plano de negócios e a conformidade da estrutura tecnológica. As principais etapas seguem uma sequência que vai da licença à operação diária.

1. Definir a modalidade de licença, como IP, SCD ou SEP, conforme as atividades pretendidas.

2. Comprovar capital social mínimo integralizado, calculado com base nas atividades da instituição segundo a Resolução Conjunta 14/2025.

3. Apresentar política de segurança cibernética aderente à Resolução BCB 538/2025.

4. Estruturar área de compliance, PLD-FTP, KYC e DPO, com papéis e responsabilidades definidos.

5. Implementar integração técnica com SPB, Pix e RSFN, incluindo certificação mTLS com certificados ICP-Brasil.

6. Concluir a adesão ao Open Finance, com APIs publicadas nos padrões do BCB.

Empresas que ainda não possuem licença própria podem operar serviços financeiros sob a infraestrutura regulatória de uma instituição parceira no modelo Banking as a Service. Esse modelo acelera o go-to-market e mantém a conformidade regulatória desde o início.

Descubra como a Celcoin acelera seu go-to-market com infraestrutura regulatória pronta.

2. Quais são os pilares do compliance digital?

O compliance digital de uma instituição financeira no Brasil se apoia em seis pilares operacionais que se complementam e se reforçam mutuamente.

1. Licenciamento e governança: manter autorização do BCB, estatuto social adequado e diretores responsáveis por compliance e segurança.

2. Capitalização: preservar o patrimônio líquido mínimo exigido pela Resolução Conjunta 14/2025, acompanhando o faseamento até janeiro de 2028.

3. Segurança cibernética: implementar os controles técnicos da Resolução BCB 538/2025, como MFA, HSM, SIEM, TLS 1.3 e testes de intrusão anuais.

4. PLD-FTP: operar programa de prevenção à lavagem de dinheiro e ao financiamento do terrorismo e da proliferação de armas, com monitoramento transacional, KYC e reporte ao COAF.

5. LGPD: manter DPO, registro de atividades de tratamento, gestão de incidentes e notificação à ANPD em até três dias úteis.

6. Open Finance: participar do ecossistema com APIs padronizadas pelo BCB para compartilhamento de dados e iniciação de pagamentos.

3. Qual a diferença entre fintech e banco digital?

Fintech é um termo amplo que designa qualquer empresa que usa tecnologia para oferecer serviços financeiros. Banco digital é uma categoria regulatória específica, uma instituição financeira autorizada pelo BCB a captar depósitos e conceder crédito, operando exclusivamente por canais digitais, sem agências físicas obrigatórias.

Uma fintech pode ser um banco digital, mas também pode operar como Instituição de Pagamento, Sociedade de Crédito Direto ou Sociedade de Empréstimo entre Pessoas. Cada modalidade possui escopo de atividades e requisitos de capital distintos, o que influencia o modelo de negócio e o planejamento de crescimento.

4. Modelos regulatórios e capital social mínimo por modalidade (tabela atualizada até 2028)

A Resolução Conjunta 14/2025, publicada em 3 de novembro de 2025 pelo CMN e pelo BCB, substituiu os requisitos de capital baseados em tipo de licença por requisitos baseados nas atividades exercidas. O faseamento é gradual até janeiro de 2028. A tabela a seguir mostra o impacto financeiro dessa mudança, com aumentos relevantes de capital mínimo para IPs, SCDs, SEPs e financeiras.

Modalidade	Capital mínimo anterior	Capital mínimo novo (100% em jan/2028)	Faseamento
IP sem Pix	R$ 2 milhões	R$ 12,4 milhões	25% jul/2026, 50% jan/2027, 100% jan/2028
IP com Pix	R$ 2 milhões	R$ 17,4 milhões	25% jul/2026, 50% jan/2027, 100% jan/2028
SCD/SEP	R$ 1 milhão	Variável por atividade, até R$ 26 milhões para financeiras	25% jul/2026, 50% jan/2027, 100% jan/2028
Financeira (IF)	R$ 7 milhões	R$ 26 milhões a R$ 60 milhões	25% jul/2026, 50% jan/2027, 100% jan/2028

O BCB estima que 679 das 1.751 instituições supervisionadas podem ficar abaixo dos novos patamares em janeiro de 2028. Uma parcela significativa das Instituições de Pagamento está exposta ao novo requisito.

5. Requisitos de tecnologia: Core Banking, HSM, SIEM, Kubernetes e APIs REST

A Resolução BCB 538/2025, publicada em 18 de dezembro de 2025 com adequação até 1º de março de 2026, impõe 14 controles técnicos obrigatórios para IPs, corretoras e distribuidoras. Esses controles formam camadas de defesa interdependentes que protegem acesso, dados, monitoramento e resposta a incidentes.

• MFA: autenticação multifator com TOTP, push ou token físico, sem uso de SMS, para acesso administrativo a sistemas críticos, operações financeiras sensíveis e ambientes Pix, STR e RSFN. Esse controle protege o perímetro de acesso.

• Criptografia: uso de TLS 1.3 em trânsito, AES-256 ou equivalente em repouso e HSM para gestão de chaves em ambientes críticos. Esse conjunto protege dados em trânsito e em repouso e complementa o controle de acesso.

• SIEM: centralização de logs de transações com política de retenção documentada, proteção contra adulteração e monitoramento contínuo. Esse recurso permite detectar violações que ultrapassaram as camadas anteriores.

• Testes de intrusão: realização anual por terceiro independente, com documentação retida por cinco anos e plano de remediação de achados críticos. Esses testes validam a eficácia dos controles sob condições adversariais.

• Segmentação: isolamento físico e lógico dos ambientes Pix, STR e RSFN, com monitoramento dedicado. Essa segmentação limita o impacto caso algum controle falhe.

Uma arquitetura de Core Banking moderna baseada em microsserviços, orquestrada em Kubernetes e exposta via APIs REST é o padrão de mercado. Essa arquitetura facilita escalabilidade, resiliência e atualizações contínuas sem janelas de manutenção prolongadas.

6. Integração com SPB, Pix e RSFN

A participação no Pix exige autenticação mTLS com certificados ICP-Brasil, disponibilidade 24/7 com redundância, monitoramento em tempo real e aderência aos formatos de mensagem DICT e SPI. As mensagens SPI seguem o padrão ISO 20022 em XML 1.0, com codificação Unicode UTF-8, e são transmitidas pela RSFN, rede regulada do Sistema Financeiro Nacional, isolada da internet pública.

Participantes diretos conectam-se ao SPI e ao DICT de forma autônoma, gerenciam liquidez em tempo real e assumem a conformidade operacional completa. Participantes indiretos acessam o sistema por meio de uma instituição patrocinadora ou de um PSTI, Prestador de Serviços de Tecnologia da Informação, homologado pelo BCB.

7. Testes de intrusão, PSTI e Resolução 85

A conectividade ao Pix e à RSFN expõe a instituição a riscos cibernéticos que exigem validação contínua. O BCB regula tanto os intermediários de conectividade quanto os controles de segurança que os participantes devem implementar e testar anualmente.

A Resolução BCB 85, e suas atualizações, regula os requisitos de segurança para PSTIs que provêm infraestrutura de conexão à RSFN. Um PSTI deve demonstrar capacidade operacional, segurança de dados e alta disponibilidade para ser homologado pelo BCB como intermediário de conectividade.

A Resolução BCB 538/2025 complementa esse arcabouço ao exigir que os próprios participantes realizem testes de intrusão anuais por terceiro independente, diferente do fornecedor que implementou os controles. A instituição deve reter a documentação por cinco anos e executar reteste obrigatório de achados críticos. O descumprimento pode resultar em multas entre R$ 50 mil e R$ 2 milhões, suspensão do Pix e abertura de processo administrativo sancionador.

8. Open Finance obrigatório, PLD-FTP, LGPD e obrigações acessórias

O Open Finance é obrigatório para instituições autorizadas pelo BCB. A participação exige publicação de APIs padronizadas para compartilhamento de dados de contas, crédito, investimentos e seguros, além de infraestrutura para iniciação de pagamentos com consentimento do usuário.

Em PLD-FTP, a instituição deve manter programa formal com monitoramento transacional, KYC contínuo, reporte ao COAF e treinamento periódico de equipes. Em LGPD, as obrigações incluem:

• Nomeação de DPO, encarregado, conforme Lei 13.709/2018.

• Registro de atividades de tratamento, ROPA, com finalidade, base legal e prazo de retenção.

• Notificação à ANPD em até três dias úteis após ciência de incidente, conforme Resolução ANPD 15/2024.

• Avaliação de impacto, DPIA, para tratamentos de dados sensíveis em larga escala.

Sanções da ANPD chegam a 2% do faturamento da empresa no Brasil, excluídos os tributos, limitadas a R$ 50 milhões por infração, além de bloqueio ou eliminação de dados.

As obrigações acessórias contábeis e fiscais incluem DIMP, DES-IF, CADOCs, CCS, SCR e PR, com envio periódico ao BCB e à Receita Federal.

9. Árvore de decisão: BaaS versus licença própria, custos e prazos

Diante da complexidade regulatória, de capital e técnica descrita até aqui, a empresa precisa decidir se constrói toda a infraestrutura com licença própria ou se acelera o go-to-market com Banking as a Service. A comparação a seguir apresenta os principais trade-offs de custos, prazos e responsabilidades para orientar essa decisão.

Critério	Banking as a Service, licença do parceiro	Licença própria + Core Banking
Prazo para operar	Semanas a poucos meses	12 a 24 meses, processo BCB
Capital mínimo exigido da empresa	Não aplicável, responsabilidade do parceiro licenciado	R$ 12,4 milhões a R$ 60 milhões ou mais, conforme atividade, Resolução Conjunta 14/2025
Custo de infraestrutura tecnológica	Compartilhado via modelo transacional	R$ 232 mil a R$ 700 mil inicial, mais R$ 149 mil a R$ 420 mil por ano recorrente, estimativa BCB 538/2025
Compliance e relatórios regulatórios	Gerenciado pelo parceiro	Responsabilidade da própria instituição
Escalabilidade para licença própria	Migração para Core Banking sem troca de infraestrutura	Operação já com licença própria
Indicado para	Fintechs em estágio inicial, varejistas, ERPs	Bancos digitais consolidados, IPs com alto volume

10. Checklist técnico e de governança

Este checklist consolida os principais requisitos regulatórios e técnicos para operar serviços financeiros no Brasil. A organização por área facilita o uso como roteiro de implementação e como base para auditorias internas de conformidade.

Área	Requisito	Norma de referência	Status recomendado
Licenças	Autorização BCB, IP, SCD, SEP ou IF, ou parceiro BaaS homologado	Resolução Conjunta 14/2025	Obrigatório antes de operar
Capital	Patrimônio líquido mínimo por atividade, faseado até jan/2028	Resolução Conjunta 14/2025	25% do gap desde jul/2026
Criptografia	TLS 1.3, AES-256, HSM para chaves críticas	Resolução BCB 538/2025	Obrigatório desde mar/2026
MFA	TOTP, push ou token físico, SMS vedado	Resolução BCB 538/2025	Obrigatório desde mar/2026
SIEM	Centralização de logs com retenção documentada	Resolução BCB 538/2025	Obrigatório desde mar/2026
Pentest	Teste anual por terceiro independente, retenção 5 anos	Resolução BCB 538/2025	Ciclo anual obrigatório
Pix/RSFN	mTLS, ICP-Brasil, ISO 20022, disponibilidade 24/7	Catálogo SFN v5.10	Obrigatório para participantes
Open Finance	APIs padronizadas BCB, consentimento do usuário	Regulação BCB Open Finance	Obrigatório para autorizadas
PLD-FTP	KYC, monitoramento transacional, reporte COAF	Circular BCB 3.978/2020	Contínuo
LGPD	DPO, ROPA, DPIA, notificação ANPD em 3 dias úteis	Lei 13.709/2018 e Resolução ANPD 15/2024	Contínuo
Relatórios acessórios	DIMP, CADOCs, CCS, SCR, COSIF, BacenJud	Normas BCB e Receita Federal	Periódico, diário ou mensal

11. Solução full-stack da Celcoin

A Celcoin opera com portfólio completo de licenças e tecnologia proprietária, cobrindo toda a jornada de uma empresa que deseja oferecer serviços financeiros no Brasil. Empresas sem licença própria utilizam o Banking as a Service da Celcoin, com licença de Instituição de Pagamento, participação direta no Pix e infraestrutura de Open Finance, e migram para o Core Banking quando obtêm autorização própria do BCB, sem necessidade de trocar de plataforma tecnológica.

A Celcoin não oferece nenhum tipo de empréstimo para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes.

A plataforma da Celcoin traduz os requisitos técnicos e regulatórios descritos neste artigo em funcionalidades prontas para uso. A tabela a seguir relaciona cada capacidade técnica a um benefício operacional direto para sua empresa.

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos e melhoram o tempo para geração de receita.
Distribuição white-label e embutida, embedded	Suporte a produtos financeiros com marca própria.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável na nuvem mantém serviços funcionando mesmo com altos volumes e protege a receita.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferta de pagamentos e emissão de crédito aumenta conversão, ARPU e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas e melhoram conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs ampliam cobertura, recursos e velocidade de entrada no mercado.

A plataforma media mais de R$ 30 bilhões em transações mensalmente e atende mais de 6 mil clientes entre fintechs, bancos digitais, ERPs e varejistas. A infraestrutura é conectada diretamente ao BCB via RSFN e SPB, com relatórios regulatórios automatizados, como CCS, CADOCs, COSIF, DIMP e BacenJud, e suporte especializado em todas as etapas da operação.

Conheça a plataforma que conecta mais de 6 mil clientes ao ecossistema financeiro brasileiro.

12. FAQ

Qual é o capital mínimo exigido para uma IP com Pix em 2026?

Com a Resolução Conjunta 14/2025, uma Instituição de Pagamento que oferece Pix deve atingir R$ 17,4 milhões em capital mínimo até janeiro de 2028, conforme o faseamento detalhado na seção 4. IPs que não oferecem Pix devem atingir R$ 12,4 milhões no mesmo cronograma.

O que é Banking as a Service e como ele difere do Core Banking?

Banking as a Service é o modelo em que uma empresa sem licença própria opera serviços financeiros utilizando a licença e a infraestrutura de uma instituição parceira autorizada pelo BCB. O Core Banking é a infraestrutura bancária completa utilizada por instituições que já possuem licença própria, como IP, SCD, SEP ou IF, para gerir contas, transações, relatórios regulatórios e tesouraria.

No banking da Celcoin, os dois modelos compartilham a mesma base tecnológica. Esse desenho permite que uma empresa inicie no Banking as a Service e migre para o Core Banking ao obter sua própria autorização, sem trocar de plataforma.

Quais são as principais obrigações da Resolução BCB 538/2025?

A Resolução BCB 538/2025 impõe 14 controles técnicos obrigatórios para instituições reguladas, com destaque para MFA sem SMS para acessos administrativos e operações sensíveis, criptografia TLS 1.3 em trânsito e AES-256 em repouso, uso de HSM para chaves críticas, SIEM para centralização de logs com retenção documentada, testes de intrusão anuais por terceiro independente e segmentação de ambientes Pix, STR e RSFN. O prazo de adequação foi 1º de março de 2026.